Cyberattaques en Corée du Sud : la sécurité centrée sur l'humain en échec

Les incidents de sécurité se multiplient dans la finance sud-coréenne : banques, caisses d'épargne, sociétés de crédit, courtiers et une plateforme de cryptoactifs ont été touchés cet automne. Mi-octobre, le régulateur financier recensait 16 établissements victimes. Un an plus tôt, une société de cartes avait laissé fuiter les données d'environ 3 millions de personnes. La plupart des victimes étaient certifiées, équipées et auditées régulièrement.

Selon une tribune récente consacrée à la sécurité, le modèle où des humains bloquent les attaques à la main atteint ses limites. Les autorités ont relevé chez plusieurs établissements les traces d'un même attaquant utilisant des outils d'IA pour mener des attaques automatisées à grande échelle. D'après l'analyse d'une société de sécurité étrangère, il s'agit d'un individu qui combine quelques serveurs et de l'IA, et qui a même demandé à celle-ci où revendre les données financières volées. Son identité reste inconnue et l'enquête se poursuit.

La vitesse change la donne

L'auteur souligne le rythme de découverte des failles. Le modèle d'IA à l'origine du « choc Mythos » du printemps aurait trouvé plus de 10 000 vulnérabilités critiques en un mois, et une IA a aussi repéré dans PHP, utilisé par environ les trois quarts des sites web, un défaut vieux de plus de dix ans. Les attaques ont commencé quatre jours avant le correctif. Un rapport mondial évalue le délai moyen d'exploitation à « moins 7 jours ».

La société de cartes touchée l'an dernier exploitait plus de 500 dispositifs de sécurité et était certifiée ; pourtant, un moteur de service inutilisé avait échappé aux correctifs, et l'attaquant a siphonné les données lentement. Corriger ne suffit pas, estime l'auteur : quand les failles techniques reculent, les attaquants visent les personnes et les structures, comme les services de consultation sans vérification d'identité, les serveurs partagés avec des partenaires, les comptes volés ou l'hameçonnage vocal.

Défendre l'espace de confiance

Sa réponse est le zero trust, fondé sur la visibilité de l'espace où l'attaquant, une fois la prévention contournée, passe pour un utilisateur normal. Les grandes banques ont mis de 15 à 68 heures à découvrir l'intrusion. Chaque requête semblait légitime, mais l'enchaînement global était anormal. Un groupe ayant réussi à entrer peut céder l'accès à un autre en 22 secondes, et les attaquants restent souvent près de deux semaines sans être repérés.

L'auteur propose une IA défensive qui connaît l'état normal du réseau, coupe les connexions, retire les droits et isole les systèmes, tandis que les humains fixent les principes et assument la responsabilité. Il demande aussi de mesurer la sécurité au délai de détection plutôt qu'au nombre de certificats, et rappelle que les banques ont réduit leurs dépenses de sécurité malgré les incidents.